端末向け不正アプリ「HIDDENMINER(ヒドゥンマイナー)」(「ANDROIDOS_HIDDENMINER」として検出)を確認しました。この不正アプリは、ユーザが感染に気付かないように自身を隠ぺいし、管理者権限を悪用することによって活動を継続する機能を備えています。端末向けランサムウェアでよく確認されていた手法です。詳しく解析したところ、この不正アプリに関連する発掘プールとウォレットアドレスを確認することができました。引き出されていたことも判明しています。ウォレットアドレスの利用状況から、感染端末を利用した非常に活発な仮想通貨発掘活動が行われていることが分かりました。Moneroを発掘しますが、発掘活動を停止する機能は無く、制御や最適化も行いません。そのため、端末のリソースを消費し尽くすまで発掘を続けます。これによって端末が過熱し、場合によっては物理的な損傷が発生する可能性もあります。端末向け不正アプリ「Loapi」も同様です。よる仮想通貨発掘活動では、電池が膨らんでスマートフォンのカバーが外れた事例がリサーチャによって報告されています。同様の機能が確認されています。サードパーティのアプリストアからダウンロードされます。今のところインドおよび中国のユーザに影響を与えていますが、今後、その他の国々に拡散することも十分考えられます。アプリの更新に偽装し、「com.google.android.provider」という名称のアプリとして管理者権限を要求するポップアップ画面を立ち上げます。アプリのアイコン画像が使われています。ユーザが「Activate」をクリックし管理者権限を許可するまで、ポップアップ画像が表示され続けます。インストール後にラベルを空文字列に変更しアイコン画像を透明にするなど、さまざまな手法を利用して自身を隠ぺいします。端末の管理者権限取得後には、「setComponentEnableSetting()」関数を呼び出し、アプリ自体がホーム画面に表示されないようにします。自動的に管理者権限で実行され、次回起動時まで密かに活動を続けます。端末向けアドウェア「DoubleHidden」と同じ手法です。検出および自動解析を回避するためのアンチエミュレータ機能も備えています。用エミュレータ検出ツールを悪用したもので、自身がエミュレータによって実行されているかどうか確認することが可能です。管理者権限が付与されたアプリを削除するためには、先に管理者権限を無効化する必要があります。ユーザが管理者権限を無効化しようとすると端末の画面をロックし、不正アプリを削除できないようにします。存在する不具合を利用した手法です。修正し、機能の一部として画面をロックすることができないように、アプリに与えられる管理者権限を制限しました。これにより、管理者権限を持つアプリであっても、「onDisableRequested()」関数を通して管理者権限を無効化する要求を検知することができなくなりました。端末向けランサムウェアや、「Fobus」のような情報窃取型不正アプリが端末に足がかりを築くために利用していた手法です。今回の事例は、モバイルセキュリティのベストプラクティスに従うことの重要性を再確認する機会と言えます。定期的に更新してください。アプリに許可する権限は慎重に設定してください。Security」を提供しています。サイトのブロックに対応しています。アプリ、データ保護、および環境設定の管理を提供するとともに、脆弱性を利用した攻撃から端末を保護し、不正なアクセスを防止します。発掘プールは以下の通りです。ウォレットアドレスは以下の通りです。「EternalBlue」を含む複数の手法で拡散する仮想通貨発掘マルウェアを日本でも。